DevSecOps：下一个前沿

严立忠

为满足不断提高的管理、审计和合规要求，同时保持发展速度，很多团队都将采用DevSecOps。正如IT部门正在进行优化，在其交付平台和应用程序中置入更多的监测功能，他们的安全需求也会随之优化。这意味着开发人员将发挥更大的作用，以确保其应用程序和所处理数据的安全。同样，安全部门还应该更多地与开发和运营部门协作，以保证应用程序和交付过程的安全。

为了应对越来越老练的数字对手，企业必须促进此前相互独立的IT部门和安全部门之间更好的协作，以提升运营安全战略，获得业务成果；同时还要增强运营保护、检测和响应能力，降低IT风险，减少网络安全威胁和欺诈。

自从部署了机器数字平台Splunk Enterprise、能够实时监测业务运营后，互联网金融服务供应机构——快钱公司可以轻易地追踪系统的异常情况并加以分析，积极减轻系统问题，可用性大大提高。配合其自行开发的大数据分析系统，该公司可以通过Splunk平台提升整体安全性，并且加强预防外来的入侵。其它问题也可以在1至2秒內定位，例如交易延迟、系统停机和支付转账失败等，达到“秒级报警”的目标。即使是最复杂的故障排解任务，也可以在2至3分钟以內完成。

安全将成为构建企业级服务和应用程序的标准要求。不仅开发人员、发布管理人员和应用程序专家要参与进来，运营和安全部门也要参与，而DevOps部门则被要求坚持做好应用程序交付工具链的管理和审计控制工作。为实现这一协作举措，每名参与人员都需要使用真实的数据源——使用这些数据来实现与其角色最相关的安全目标。

为能够在当今激烈的竞争环境中生存下去，IT部门应与第三方协作以提高开发速度，提供更可靠的服務。这就要求IT运营部门能全面掌握各种内部和外部服务，无论在防火墙内部还是外部，都能够共享运营信息，进一步提高透明度。

API将使所需透明度得以实现，帮助形成跨越客户、供应商、员工和企业生态支持系统的基础。这将开启企业应用程序的新功能，以支持更快速的服务实验和开发，也使对应用程序运行的安全性和可见性需求增加。

随着持续交付和DevOps的兴起，一批新的IT运营专业人员正在定义怎样交付和管理服务。在配置和容量方面与Python和Ruby一样匹配，他们在系统自动化、架构灵活性、开发人员授权和网站可靠性等方面处于领先地位，能够更快地交付更好的应用程序，并且有很好的用户体验。endprint